Autor: radca prawny Iwona Rohloff · Kancelaria prawna Prometheus Legal Office · Stan prawny na 13 października 2026 r.
Zawiadomienie o naruszeniu ochrony danych to informacja od administratora, że doszło do incydentu, który może powodować wysokie ryzyko dla Twoich praw (art. 34 RODO). To także ważny dowód w sprawie o odszkodowanie - warto je zachować.
W skrócie
Administrator zgłasza naruszenie Prezesowi UODO w ciągu 72 godzin (art. 33 RODO).
Osoby, których dane dotyczą, zawiadamia bez zbędnej zwłoki, gdy ryzyko jest wysokie (art. 34 RODO).
Zawiadomienie opisuje naruszenie, jego możliwe skutki i podjęte środki.
Od zawiadomienia biegną najczęściej 3 lata na dochodzenie odszkodowania.
Kiedy administrator musi zawiadomić o wycieku danych?
Administrator zgłasza naruszenie Prezesowi UODO w ciągu 72 godzin od jego stwierdzenia, chyba że jest mało prawdopodobne, by skutkowało ryzykiem dla osób fizycznych (art. 33 RODO). Osoby, których dane dotyczą, zawiadamia bez zbędnej zwłoki, gdy naruszenie może powodować wysokie ryzyko (art. 34 ust. 1 RODO).
Indywidualnego zawiadomienia nie trzeba wysyłać m.in. wtedy, gdy dane były skutecznie zaszyfrowane albo gdy wymagałoby to niewspółmiernie dużego wysiłku - wtedy administrator publikuje komunikat publiczny (art. 34 ust. 3 RODO).
Co musi zawierać zawiadomienie o naruszeniu?
opis charakteru naruszenia - jasnym i prostym językiem,
dane kontaktowe inspektora ochrony danych albo innego punktu kontaktowego,
możliwe konsekwencje naruszenia,
środki zastosowane lub proponowane przez administratora, w tym te, które mają zminimalizować negatywne skutki.
Zawiadomienie bez tych elementów nie spełnia wymogów art. 34 ust. 2 RODO - co samo w sobie bywa argumentem w sprawie.
Czy zawiadomienie oznacza, że należy mi się odszkodowanie?
Nie automatycznie - ale jest mocnym dowodem. Potwierdza, że doszło do naruszenia i że administrator sam ocenił ryzyko jako wysokie. Do odszkodowania potrzebna jest jeszcze szkoda i związek przyczynowy (C-300/21); szkodą niemajątkową może być uzasadniona obawa przed nadużyciem danych (C-340/21). Więcej: art. 82 RODO - zadośćuczynienie.
Jakich informacji mogę żądać od administratora?
Na podstawie art. 15 RODO można żądać informacji, jakie dane administrator przetwarza, w jakim celu, komu je udostępnił, oraz kopii danych. Odpowiedź należy się w ciągu miesiąca; w uzasadnionych przypadkach administrator może przedłużyć termin o dwa miesiące, informując o tym (art. 12 ust. 3 RODO). Warto przy okazji zapytać, jakie kategorie danych objęło naruszenie i kiedy do niego doszło.
Ile jest czasu na roszczenia po zawiadomieniu?
Roszczenie o odszkodowanie przedawnia się co do zasady po 3 latach od dowiedzenia się o szkodzie i o osobie obowiązanej do jej naprawienia, nie później niż po 10 latach od zdarzenia (art. 442¹ § 1 k.c.). Data zawiadomienia jest zwykle punktem, od którego liczy się ten termin - dlatego warto je zachować.
Twoje dane wyciekły?
Kancelaria prawna Prometheus Legal Office dochodzi odszkodowania i zadośćuczynienia za wyciek danych od wezwania do wyroku. Jedynym kosztem klienta jest opłata sądowa od pozwu - tylko gdy sprawa trafi do sądu. Wynagrodzenie: 50% + VAT wyłącznie od kwot, które przeciwnik faktycznie wypłaci.
Art. 33 i art. 34 RODO - zgłoszenie naruszenia organowi nadzorczemu w ciągu 72 godzin oraz zawiadomienie osób, których dane dotyczą, gdy naruszenie może powodować wysokie ryzyko.
Art. 12 ust. 3 i art. 15 RODO - prawo dostępu do danych i kopii danych; odpowiedź w terminie miesiąca, z możliwością przedłużenia o dwa miesiące.
Art. 82 RODO (rozporządzenie Parlamentu Europejskiego i Rady (UE) 2016/679) - prawo do odszkodowania za szkodę majątkową lub niemajątkową; administrator zwolniony z odpowiedzialności tylko wtedy, gdy udowodni, że w żaden sposób nie ponosi winy za zdarzenie (ust. 3).
Wyrok TSUE z 4 maja 2023 r., C-300/21 (Österreichische Post) - samo naruszenie RODO nie wystarcza do odszkodowania, potrzebna jest szkoda i związek przyczynowy; brak progu „poważnej" szkody niemajątkowej.
Wyrok TSUE z 14 grudnia 2023 r., C-340/21 (Natsionalna agentsia za prihodite) - obawa przed możliwym nadużyciem danych może stanowić szkodę niemajątkową; to administrator musi wykazać odpowiedniość środków bezpieczeństwa.
Art. 442¹ § 1 k.c. - przedawnienie roszczenia o naprawienie szkody wyrządzonej czynem niedozwolonym: 3 lata od dowiedzenia się o szkodzie i o osobie obowiązanej, nie dłużej niż 10 lat od zdarzenia.
Materiał ma charakter informacyjny i przedstawia stan prawny na 13 października 2026 r.. Nie stanowi porady prawnej w indywidualnej sprawie. Ocena konkretnego stanu faktycznego wymaga analizy dokumentów.
Materiał opracowała radca prawny Iwona Rohloff · Stan prawny na 13 października 2026 r.
PROMETHEUSLEGAL OFFICE